Derechos del Consumidor según la MODPA: Privacidad de Datos de Maryland

La Ley de Privacidad de Datos en Línea de Maryland (MODPA) otorga a los residentes de Maryland el derecho a confirmar si una empresa está procesando sus datos personales, a acceder a ellos, a corregir inexactitudes, a eliminarlos, a obtener una copia portátil, y a optar por no participar en la publicidad dirigida, la venta de sus datos y ciertos tipos de elaboración de perfiles. Los consumidores también pueden obtener una lista de las categorías de terceros a quienes se han divulgado sus datos. Estos derechos residen en Md. Code Ann., Commercial Law sección 14-4705 y entraron en vigor el 1 de octubre de 2025.

Lo que hace que las protecciones de Maryland sean más sólidas que las de otros estados no es solo la lista de derechos, sino los deberes subyacentes: una regla estricta de minimización de datos, un requisito de estricta necesidad para los datos sensibles, una prohibición absoluta de venta de datos sensibles, y protecciones sólidas para los consumidores menores de 18 años. A partir de 2026, un responsable generalmente debe responder a una solicitud de derechos dentro de 45 días, y puede cumplir su deber de exclusión publicando un enlace claro de exclusión o aceptando una señal de preferencia de exclusión. La aplicación se realiza a través de la División de Protección al Consumidor de la Oficina del Fiscal General, sin derecho de acción privada.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos en Línea de Maryland (Md. Code Ann., Com. Law Title 14, Subtitle 47). Es información legal general, no asesoría legal.

El conjunto completo de derechos del consumidor según la MODPA

La MODPA enumera los derechos del consumidor en la sección 14-4705(B). Un residente de Maryland tiene derecho a confirmar si un responsable está procesando sus datos personales y a acceder a esos datos, a menos que hacerlo requiera divulgar un secreto comercial. Estos dos derechos permiten a un consumidor ver si una empresa posee su información y cómo lo hace.

El consumidor también tiene derecho a corregir inexactitudes en sus datos personales, considerando la naturaleza de los datos y las finalidades del procesamiento, y el derecho a exigir que un responsable elimine los datos personales proporcionados por el consumidor u obtenidos sobre él, a menos que la ley exija su conservación. La eliminación bajo la MODPA alcanza los datos que la empresa obtuvo de otras fuentes, no solo los datos que el consumidor entregó directamente.

La sección 14-4705(B)(5) agrega un derecho de portabilidad. Cuando el procesamiento se realiza por medios automáticos, el consumidor puede obtener una copia de sus datos personales en un formato portátil y, en la medida técnicamente factible, fácilmente utilizable, que le permita transmitir los datos a otro responsable sin impedimentos.

El derecho a obtener una lista de las categorías de terceros

Uno de los derechos de transparencia más útiles de la MODPA es el derecho a conocer a dónde han ido los datos de un consumidor. Conforme a la sección 14-4705(B)(6), un consumidor puede obtener una lista de las categorías de terceros a quienes el responsable ha divulgado sus datos personales. Si el responsable no conserva esa información en un formato específico por consumidor, puede en su lugar proporcionar una lista de las categorías de terceros a quienes ha divulgado los datos personales de cualquier consumidor.

Esta es una divulgación a nivel de categoría. Un responsable reporta grupos como socios publicitarios, proveedores de análisis o corredores de datos, en lugar de cada destinatario nombrado individualmente. Aun así, brinda a los consumidores una visión estructurada de los flujos de datos que los marcos de privacidad anteriores no proporcionaban.

El aviso de privacidad respalda este derecho. Conforme a la sección 14-4707(D), el aviso debe describir las categorías de terceros con quienes el responsable comparte datos personales con suficiente detalle para que un consumidor comprenda qué tipo de entidad es cada tercero y, en la medida de lo posible, cómo cada uno puede procesar los datos.

Derechos de exclusión y el mecanismo universal de exclusión

La sección 14-4705(B)(7) otorga a los consumidores el derecho a optar por no participar en tres cosas: el procesamiento de datos personales para publicidad dirigida, la venta de datos personales, y la elaboración de perfiles en apoyo de decisiones totalmente automatizadas que produzcan efectos legales o de importancia similar. La definición de venta en la sección 14-4701 es amplia y cubre el intercambio de datos personales a un tercero a cambio de una contraprestación monetaria o de otro tipo, con excepciones limitadas.

Maryland ofrece a los responsables dos vías para cumplir con esa exclusión. Conforme a la sección 14-4707(F)(3), un responsable puede cumplir el requisito proporcionando un enlace claro y visible en su sitio web a una página donde el consumidor pueda optar por no participar en la publicidad dirigida o en la venta de datos personales, o bien, a partir del 1 de octubre de 2025, permitiendo que el consumidor opte por no participar mediante una señal de preferencia de exclusión enviada por una plataforma, tecnología o mecanismo, como el Control de Privacidad Global. El texto promulgado enumera estos como métodos que un responsable puede utilizar, por lo que aceptar una señal universal es una vía permitida y no un mandato independiente. La sección 14-4707(F)(5) prohíbe una configuración predeterminada que excluya a un consumidor, por lo que la señal debe reflejar la elección afirmativa del consumidor. Un responsable que reconoce las señales aprobadas por otros estados se considera conforme bajo la sección 14-4707(G).

Los consumidores no tienen que actuar solos. Conforme a la sección 14-4706, un consumidor puede designar un agente autorizado, incluso mediante una configuración del navegador, una extensión del navegador o una configuración global del dispositivo, para optar por no participar en su nombre. Además, conforme a la sección 14-4705(E)(6), un responsable no está obligado a autenticar una solicitud de exclusión, lo que mantiene menos fricción para optar por no participar que en una solicitud de acceso o eliminación.

Cómo protege a los consumidores la regla de minimización de datos

Maryland protege a los consumidores incluso antes de que presenten una solicitud, mediante su regla de minimización de datos. Conforme a la sección 14-4707(B)(1)(i), un responsable solo puede recopilar datos personales en la medida razonablemente necesaria y proporcional para proporcionar o mantener el producto o servicio específico solicitado por el consumidor. Esta es la razón principal por la que la MODPA otorga a los residentes de Maryland más protección que a los residentes de otros estados.

El estándar está vinculado al servicio que el consumidor solicitó, no a las finalidades que una empresa elija divulgar. Una empresa no puede ocultar una recopilación amplia en una política de privacidad y considerarla conforme. Si los datos no son razonablemente necesarios para la función solicitada, recopilarlos no está permitido.

El consentimiento no cambia esto. El consentimiento habilita un deber distinto: la sección 14-4707(A)(8) prohíbe procesar datos personales para una finalidad que no sea razonablemente necesaria ni compatible con las finalidades divulgadas, a menos que el consumidor otorgue su consentimiento. El deber de minimización de la sección 14-4707(B) no tiene esa anulación por consentimiento. Una empresa no puede usar una casilla de consentimiento para justificar la recopilación de más de lo que necesita el servicio solicitado. Para conocer el panorama más amplio de por qué esto convierte a la MODPA en la ley estatal más estricta, consulte qué es la MODPA.

Datos sensibles y la prohibición de venta que protegen a los consumidores

La MODPA otorga a los consumidores un control inusualmente sólido sobre los datos sensibles. Conforme a la sección 14-4701, los datos sensibles incluyen los datos que revelan origen racial o étnico, creencias religiosas, datos de salud del consumidor, vida sexual, orientación sexual, condición de persona transgénero o no binaria, origen nacional y ciudadanía o estatus migratorio, además de los datos genéticos o biométricos, los datos personales de un menor conocido y los datos de geolocalización precisa.

Para esos datos, la sección 14-4707(A)(1) permite que un responsable los recopile, procese o comparta solo cuando la recopilación o el procesamiento sea estrictamente necesario para proporcionar o mantener un producto o servicio específico solicitado por el consumidor. La estricta necesidad es el único requisito. La MODPA no ofrece ninguna opción de consentimiento para los datos sensibles, por lo que una empresa no puede procesarlos simplemente porque un consumidor hizo clic en una casilla de consentimiento.

La protección más sólida es la prohibición de venta. Conforme a la sección 14-4707(A)(2), un responsable no puede vender datos sensibles en absoluto, sin excepción de consentimiento. Por lo tanto, los datos sensibles de un consumidor de Maryland no pueden ser vendidos por una empresa cubierta, una protección que va más allá de cualquier derecho de exclusión o inclusión voluntaria disponible en otros estados.

Protecciones para consumidores menores de 18 años

La MODPA conlleva protecciones sólidas para los menores que operan sin que el consumidor tenga que presentar solicitud alguna. Conforme a la sección 14-4707(A)(4) y (A)(5), cuando un responsable sabía o debería haber sabido que un consumidor es menor de 18 años, no puede procesar los datos personales de ese consumidor con fines de publicidad dirigida, y no puede vender los datos personales de ese consumidor. Ninguna de las dos prohibiciones tiene excepción de consentimiento, y ninguna tiene un límite inferior de edad.

El estándar de "sabía o debería haber sabido" es más amplio que una prueba de conocimiento real. Alcanza a una empresa que tiene motivos para saber que atiende a una audiencia adolescente, incluso sin confirmar la edad de cada usuario. La protección cubre a todo consumidor menor de 18 años, muy por encima del límite de menores de 13 años establecido por la ley federal Children's Online Privacy Protection Act (COPPA).

Para los menores conocidos de menos de 13 años, también se aplica el tratamiento de datos sensibles, porque los datos personales de un menor conocido son en sí mismos datos sensibles conforme a la sección 14-4701, y los responsables que cumplen con el consentimiento parental verificable de la COPPA se consideran conformes con las obligaciones de consentimiento parental conforme a la sección 14-4703(C).

Plazos de respuesta, apelaciones y aplicación

Un responsable debe establecer un método seguro y confiable para que los consumidores ejerzan sus derechos conforme a la sección 14-4705(C), y no puede exigir que un consumidor cree una nueva cuenta para hacerlo conforme a la sección 14-4707(F)(2). El responsable debe responder a una solicitud de derechos dentro de 45 días conforme a la sección 14-4705(E)(2), con una extensión adicional de 45 días cuando sea razonablemente necesaria, siempre que se informe al consumidor de la extensión y del motivo dentro de los primeros 45 días.

Si un responsable se niega a actuar, debe informar al consumidor dentro de 45 días y proporcionar instrucciones sobre cómo apelar conforme a la sección 14-4705(E)(3). El proceso de apelación debe estar disponible de manera visible, y el responsable tiene 60 días después de recibir una apelación para responder por escrito conforme a la sección 14-4705(F)(3). Si se deniega la apelación, el responsable debe proporcionar una forma en línea de presentar una queja ante la División de Protección al Consumidor.

La aplicación es responsabilidad de la División conforme a la sección 14-4713. Una infracción es una práctica comercial injusta, abusiva o engañosa bajo la Ley de Protección al Consumidor de Maryland, con sanciones civiles de hasta $10,000 por infracción y hasta $25,000 por infracciones reincidentes conforme a la sección 13-410. La sección 14-4714 añade un derecho transitorio a subsanar la infracción: para una infracción ocurrida en o antes del 1 de abril de 2027, la División puede emitir un aviso de infracción cuando determine que la subsanación es posible, y la empresa cuenta entonces con al menos 60 días para corregir el problema antes de que la División pueda iniciar una acción de cumplimiento. No existe un derecho de acción privada, por lo que los consumidores no pueden demandar directamente a una empresa bajo la MODPA, aunque la sección 14-4713(B) preserva otros recursos que puedan existir bajo una ley separada. La lista de verificación de cumplimiento de la MODPA cubre las obligaciones del responsable detrás de estos derechos.

Más Leyes de Maryland

• Leyes de Grabación de Reuniones con IA de Maryland
• Leyes de Pensión Alimenticia Conyugal de Maryland
• Leyes de Empleo a Voluntad de Maryland
• Leyes sobre Accidentes de Auto de Maryland
• Leyes sobre Asientos de Auto para Niños de Maryland
• Leyes de Custodia de Menores de Maryland
• Leyes de Manutención Infantil de Maryland
• Leyes de Matrimonio de Hecho de Maryland
• Leyes sobre Deepfakes de Maryland
• Leyes de Divorcio de Maryland
• Leyes sobre Mordeduras de Perro de Maryland
• Leyes de Emancipación de Maryland
• Leyes de Eliminación de Antecedentes de Maryland
• Leyes sobre Fuga del Lugar del Accidente de Maryland
• Leyes de Arrendador-Inquilino de Maryland
• Ley del Limón de Maryland

Guías relacionadas

• Leyes de privacidad de datos de Maryland página principal
• ¿Qué es la MODPA?
• Lista de verificación de cumplimiento de la MODPA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?